Come costruire l'inventario dei sistemi di intelligenza artificiale in azienda

01

La risposta in breve

Un'impresa può costruire l'inventario dei sistemi di intelligenza artificiale partendo dalla definizione di «sistema di IA» dell'articolo 3 del Regolamento (UE) 2024/1689, che descrive un sistema automatizzato capace di dedurre dall'input come generare output quali previsioni, contenuti, raccomandazioni o decisioni. Per ogni sistema individuato, l'azienda registra il ruolo specifico che assume — fornitore, deployer, importatore o distributore — perché ciascun ruolo comporta obblighi distinti; il regolamento raggruppa questi ruoli, insieme a fabbricante del prodotto e rappresentante autorizzato, sotto il termine ombrello «operatore». L'inventario diventa così la base per documentare finalità prevista, dati trattati e responsabilità di gestione.

02

Perché i ruoli contano

Il regolamento distingue ruoli precisi lungo la catena di fornitura. Il fornitore sviluppa o fa sviluppare il sistema e lo immette sul mercato o lo mette in servizio con il proprio nome; il deployer lo utilizza sotto la propria autorità, salvo uso personale non professionale; l'importatore immette sul mercato un sistema che porta il marchio di un soggetto di un paese terzo; il distributore lo mette a disposizione senza essere fornitore o importatore. Il regolamento definisce «operatore» il termine ombrello che comprende fornitore, fabbricante del prodotto, deployer, rappresentante autorizzato, importatore e distributore. Registrare il ruolo specifico per ciascun sistema nell'inventario permette di collegare correttamente gli obblighi previsti dal regolamento a ciascuna voce.

03

Passi per costruire l'inventario

Passaggi

1. Elencare ogni sistema di IA in uso, verificando se corrisponde alla definizione dell'articolo 3.
2. Per ciascun sistema, indicare il ruolo specifico dell'azienda tra fornitore, deployer, importatore o distributore, tenendo presente che «operatore» è il termine che li comprende tutti.
3. Registrare la finalità prevista dichiarata dal fornitore, incluse istruzioni per l'uso e documentazione tecnica.
4. Annotare se il sistema genera contenuti sintetici, deep fake o usa riconoscimento delle emozioni o categorizzazione biometrica.
5. Collegare ogni sistema ad alto rischio per cui l'azienda è fornitore alle relative procedure di gestione dei rischi e monitoraggio post-mercato.

04

Esempio ipotetico

Esempio ipotetico: un'azienda manifatturiera usa un sistema di manutenzione predittiva sviluppato da un fornitore terzo. Nell'inventario registra il sistema come utilizzato in qualità di deployer, ne annota la finalità prevista indicata nella documentazione tecnica del fornitore e verifica che non generi contenuti sintetici né utilizzi riconoscimento delle emozioni, quindi non attiva gli obblighi di trasparenza descritti per quei casi specifici.

05

Cosa registrare per ogni sistema

• Nome del sistema e corrispondenza con la definizione di sistema di IA dell'articolo 3.
• Ruolo specifico dell'azienda: fornitore, deployer, importatore o distributore, con «operatore» come termine ombrello che li comprende tutti.
• Finalità prevista e istruzioni per l'uso fornite dal fornitore.
• Presenza di contenuti sintetici, deep fake, riconoscimento emozioni o categorizzazione biometrica.
• Collegamento al sistema di gestione dei rischi e alle procedure di monitoraggio post-mercato, se fornitore di un sistema ad alto rischio.

06

Come un software può supportare l'inventario

Un'azienda può chiedere al proprio partner software di configurare un registro strutturato che raccolga, per ogni sistema di IA, il ruolo assunto, la finalità prevista e i dati trattati, così come definiti dal regolamento. È una scelta operativa suggerita, non un requisito del software: l'importante è che il registro sia tracciabile, assegni responsabilità chiare tra i ruoli coinvolti e mantenga la documentazione aggiornata nel tempo, così da poterla collegare alle procedure di gestione dei rischi quando l'azienda agisce come fornitore di un sistema ad alto rischio.

07

Chiarimenti rapidi

• L'inventario deve chiarire se l'azienda agisce come fornitore o come deployer, perché gli obblighi cambiano di conseguenza.
• La finalità prevista dichiarata dal fornitore va conservata insieme alla documentazione tecnica ricevuta.
• I sistemi che generano contenuti sintetici o deep fake richiedono un'annotazione specifica nell'inventario, salvo le eccezioni previste.

08

Il prossimo passo

Il prossimo passo utile è avviare l'inventario partendo dai sistemi già in uso, assegnando a ciascuno il ruolo previsto dal regolamento e la finalità dichiarata dal fornitore, per costruire una base solida su cui innestare i controlli successivi.